38、Windows API Hook（三）：Detours库使用、多线程Hook安全

说实话，前两章我们聊的Inline Hook和IAT Hook，虽然经典，但真要拿到生产环境里用，我心里是有点打鼓的。为什么？因为自己手写的Hook代码，要考虑的边界情况太多了。你想想看，一个线程正在执行目标函数的前三个字节，另一个线程突然把这里改成了跳转指令——这不崩才怪。

所以这一章，我们来点工业级的方案。微软的Detours库，说白了就是帮你把Hook这件事包装得服服帖帖。我最早接触Detours是2012年做游戏外挂检测的时候，那时候自己写的Inline Hook三天两头蓝屏，换了Detours之后，世界清净了。

Detours库的核心设计

Detours的设计思路其实很朴素：它不直接修改目标函数，而是在目标函数前面加一个“跳板”。这个跳板会先保存原始指令，再跳转到你的Hook函数。你的Hook函数处理完业务逻辑后，可以调用原始函数——Detours会通过一个“trampoline”（蹦床函数）来执行被覆盖的原始指令。

我个人习惯把Detours的工作流程拆成三步：

1. 安装Hook：Detours把目标函数的前几条指令复制到trampoline中，然后在目标函数开头写入一条无条件跳转指令，跳向你的Hook函数。
2. 执行Hook：当任何代码调用目标函数时，实际执行的是你的Hook函数。
3. 调用原始函数：你的Hook函数通过trampoline调用原始实现，trampoline会执行被复制的指令，然后跳回目标函数的剩余部分。

嗯，这里要注意：Detours的trampoline不是简单的指令复制。它会处理相对寻址、EIP相关指令这些坑。我在项目中遇到过一个问题——自己手写trampoline时忘了处理JMP指令的相对偏移，结果程序跑起来直接飞到了外太空。Detours把这些细节都封装好了，你只管调用API就行。

实战：Hook MessageBoxW

光说不练假把式。我们直接上手一个例子——Hook MessageBoxW，让它弹窗时自动追加一段文字。

// 定义原始函数类型
typedef int (WINAPI *RealMessageBoxW)(
    HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType
);

// 原始函数指针
RealMessageBoxW RealMessageBox = NULL;

// 我们的Hook函数
int WINAPI HookMessageBoxW(
    HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType
) {
    // 在原始文本后面追加内容
    wchar_t newText[512];
    wsprintfW(newText, L"%s\n[已Hook - 蓝海资料掘金营]", lpText);
    
    // 调用原始函数
    return RealMessageBox(hWnd, newText, lpCaption, uType);
}

// 安装Hook
void InstallHook() {
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    DetourAttach(&(PVOID&)RealMessageBox, HookMessageBoxW);
    DetourTransactionCommit();
}

// 卸载Hook
void UninstallHook() {
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    DetourDetach(&(PVOID&)RealMessageBox, HookMessageBoxW);
    DetourTransactionCommit();
}

你看，代码结构非常清晰。Detours用“事务”的概念来管理Hook的安装和卸载，这其实就是为了解决多线程安全问题。所有修改操作都在一个事务里完成，要么全部成功，要么全部回滚。

多线程Hook安全：这才是硬骨头

说实话，单线程Hook就是小儿科。真正的挑战在于多线程环境。你想想看：线程A正在执行MessageBoxW的代码，线程B突然把MessageBoxW的入口改成了跳转指令——这时候线程A拿到的指令是半截旧的、半截新的，不崩溃才怪。

Detours解决这个问题的思路是：暂停所有线程，再修改代码。具体来说：

1. 调用 DetourTransactionBegin() 开启事务
2. 对每个相关线程调用 DetourUpdateThread()，Detours内部会暂停这些线程
3. 执行 DetourAttach() 修改目标函数
4. 调用 DetourTransactionCommit() 提交，恢复所有线程

但这里有个坑——死锁。我曾经在一个多线程服务器程序里Hook网络API，结果一安装Hook，整个进程就卡死了。排查了半天才发现：我Hook的API内部会加锁，而Detours暂停线程时，某个线程正持有这把锁。结果就是：Hook线程等锁，被暂停的线程等恢复，死锁了。

Detours的进阶用法

除了基本的函数Hook，Detours还支持一些高级特性：

特性	说明	适用场景
DetourFindFunction	按模块名和函数名查找函数地址	动态定位目标函数，避免硬编码地址
DetourCodeFromPointer	从函数指针获取实际代码地址	处理经过编译器优化的函数
DetourSetIgnoreTooSmall	忽略目标函数过小的警告	Hook只有几个字节的短函数
DetourRestoreAfterWith	临时恢复原始函数	需要短暂绕过Hook的场景

我个人最常用的是 DetourFindFunction。为什么？因为不同Windows版本里，同一个API的地址可能不一样。用这个函数按名字查找，兼容性好得多。

多线程环境下的最佳实践

嗯，这里总结几条我用血泪换来的经验：

• Hook安装时机要早：最好在进程启动时、其他线程还没创建之前就安装Hook。如果做不到，至少确保在安装期间没有其他线程在执行目标函数。
• Hook函数要快：你的Hook函数执行时间越短，多线程冲突的概率越低。如果要做耗时操作，考虑异步处理。
• 小心递归：Hook函数里调用原始函数时，确保不会再次触发Hook。Detours的trampoline会绕过Hook，但如果你在Hook函数里又调用了其他被Hook的函数，就可能出问题。
• 卸载要彻底：程序退出前一定要卸载Hook。我见过有人直接TerminateProcess，结果DLL没来得及清理，其他进程也跟着遭殃。

知识体系总览

下面这张图梳理了本章的核心逻辑，从Detours的工作机制到多线程安全的处理流程：

这张图把Detours的核心机制和风险点都串起来了。你写代码的时候，可以对照着检查——事务流程走对了没？trampoline处理了没？多线程安全考虑到了没？

好了，这一章的内容就到这里。Detours库是个好东西，但工具再好，也得看用的人。多线程Hook的安全问题，说到底还是对操作系统内存模型的理解深度。多写、多测、多踩坑，慢慢就熟了。

---

公众号:蓝海资料掘金营，微信deep3321